php 대재앙발생

https://x.com/k_firsov/status/2112641845926989944?s=20

이번에 발견된 php 취약점에 대한 완전한 mitigation은 버전 업그레이드로만 가능해보이는데, 패치까지 몇시간 남아있는 상황에서 벌써 공격벡터랑 poc 들이 돌아다니고있네요.

PHP 공격 요약 미쳤네

10월은 업토버가 아니라 해킹토버일수도?
이번에는 Railway 라는 클라우드 플랫폼이 심각한 키 유출(정확한 범위는 자기들도 모르는지 아직 안 알려줌)이 있어서 비상모드로 전환하고 디플로이를 막았는데,

Swell (r)swETH 컨트랙트의 admin key가 이에 영향받아 유출된 것으로 의심되는 정황이 있음(업그레이드 proposal 만 올라오고 멀티시그 서명이 안되어서 자금탈취로 이어진 상태는 아님)

Railway 랑 별개로 지금 GitLab에는 임의의 사용자가 깃랩 서버 탈취 및 원격코드실행을 할 수 있는 CVSS 10.0 취약점이 올라와서 초긴급 패치가 요구되는 상황.

+ 최근 추가 발견된 취약점

- Node.js 26, 24, 22에서 RCE 취약점 발견 및 패치
- QUIC 프로토콜 특정 라이브러리 사용하는 서버를 누구나 임의로 꺼버릴 수 있는 제로데이 발견 (패치 안된것도 있는듯)
- Oracle Java에서 자격증명 우회 취약점 발견 및 패치

아르키움이 이번에 출시한 MPC 기반 기밀 컴퓨팅 프레임워크 Blackthorn에 대한 아티클을 쓰게되었습니다.

이전에 TEE쪽을 많이 봐왔던만큼 현재 AI 기밀 컴퓨팅 환경을 구축하는 데에 있어서 TEE가 얼마나 접근성에 있어서 한계점을 갖는지를 적절히 다루는 데에 힘을 좀 썼는데, 납득이 가는 글이었으면 좋겠네요.

https://research.4pillars.io/ko/research/blackthorn-the-frontier-of-confidential-ai

아이폰 듀오 하드웨어 테스트 리뷰 영상이 핫하네요. 사진은 1만번 접은 뒤인데 생각보다 주름이 좀 지는듯

https://x.com/mediastorm_en/status/2112940762291941794?s=46

V12 팀에서 x402 코드베이스에서 25개 취약점 발견 (3 critical / 13 high / 9 mid-low, 8월에 제보해 패치 완료)

crit1: 솔라나용 타입스크립트 퍼실리테이터가 인스트럭션 검증 부실로 인해 approval 트랜잭션을 transfer로 오인시켜 결제 완료 처리해버릴 수 있음

crit2: 지갑 로그인 사용하는 클라이언트가 서버로부터 402 응답과 함께 전달받은 로그인 메시지를 서명할 때 메시지 내 도메인과 uri가 실제 접속한 사이트와 일치하는지 검증하지 않음. 공격자가 악의적으로 타겟의 월렛 계정에 임의로 로그인해버릴 수 있는 취약점

crit3: 문서상 기본 클라이언트 설정에 1회 결제 한도나 지출 예산 정책이 구현되어있지 않음. 서버가 제시한 결제 옵션의 금액을 그대로 서명 모듈에 전달하기 때문에 서버가 탈취당하거나 하는 경우 신뢰하던 서비스에 서명하고 밸런스를 다 빨려버릴 수 있음

https://v12.sh/blog/x402

재미로 보십쇼

메사리 계정은 아예 이름이 블록웍스 데이터로 바뀌어버렸고, 메사리 기존 웹사이트도 블록웍스 데이터 대시보드 중 하나로 편입되어 사라졌네요.

rip messari (2018 ~ 2026)

오픈AI에서 지수시간가설(Expoential Time Hypothesis)이 거짓임을 증명하고, 이를 Lean으로 검증까지 마쳤다고 공개해 수학/컴공학계에 충격을 주고있습니다.

지수시간가설은 난제(np-complete)의 해를 찾는 알고리즘의 하한선을 제시하는 데에 주로 쓰이는 개념인데, 난제급 문제라면 아무리 효율적인 알고리즘을 짜더라도 2^O(n), 즉 지수시간보다 빠르게 풀 수 없음을 못박아두는 가설입니다.

오픈AI에서는 이중 일부의 집합에 대해 지수시간가설이 틀렸음을 증명했다고 주장하고 있는데, 사실이라면 지수시간가설에 기반해 결론을 냈던 수많은 문제들의 최적해가 뒤집힐 수 있는 가능성이 생깁니다. 내가 보고있는게 맞나..

https://x.com/danintheory/status/2114833682469122314?s=20

AI가 발전할수록 콘텐츠의 질은 나빠질 수도 있겠다는 생각.

물론 이것도 과도기에 발생하는 문제일 수도 있겠지만, AI가 콘텐츠 크리에이션 과정에 상당 부분 참여하니까 사람은 주어진 시간 내에 최대한 좋은 퀄리티의 콘텐츠를 더 많이 찍어내고 싶어 하고, 그게 오히려 주의력을 분산시켜서 애매한 콘텐츠를 양산하는 경우도 많은 것 같습니다.

제 자신이 그런 것 같은데. PPT를 만들더라도 클로드 디자인이 알아서 해주니까 디테일한 부분들(클로드가 자체적으로 가져온 데이터)은 제가 검수하지도 않고 PPT로 만들어지는 부분들도 있는 것 같고, 장표를 만들 때도 오히려 피그마에서 한 땀 한 땀 만들었던 시절보다 정확도가 떨어지는 느낌.

동시에 여러 가지를 만들다 보니 중구난방이고 콘텐츠의 논리적 일관성도 부족하다고 느껴지고. 이런 거 검수 없이 나가면 이제 대참사가 벌어지는 건데, 결국 AI가 애매하게 좋은 상황에서는 AI를 사용하는 사람들의 주의력이 분산돼서 콘텐츠의 양은 많아질 수 있어도 절대적인 질 측면에서는 떨어지는 현상이 목격되는 것 같네요.

제 최근 콘텐츠들을 보면서 스스로 느끼고 있는 부분입니다.

AI를 쓰더라도 하나의 작업물에 오롯이 집중하려는 습관을 들여야 할 것 같네요.

혹시 지금 privy 지갑 해킹 얘기 도는게 predict.fun 사고때문인가요?

X에서 내용 대충 살펴보니까 Privy 자체의 문제가 아니고 Predictfun api docs의 프론트를 공격해서 탈취한듯?

1. Privy는 지갑 생성시 key를 두 갈래로 쪼개서 보관하는데, 보통 Privy의 TEE 안에서 서명하는 순간에만 합쳐졌다가 다시 지워지는 형태라, 아무도 key에 접근권한이 없는 상태.

2. 하지만 사용자가 export를 눌러서 key를 뺴는 순간 열쇠 자체가 TEE 밖으로 나오게 되므로 이때부터는 우리가 알던 일반적인 시드프레이즈와 같은 상태의 보안 레벨을 가짐.

3. predic fun api docs에서는 봇을 돌리는 유저들에게 privy 개인키를 넣으라고 안내했는데, 요 부분의 프론트를 공격해서 예제 코드나 설치 명령 같은걸 몰래 바꿔치기해서 사용자들의 키를 탈취한 듯 (공격 방식에 대해서는 제대로 찾아볼 수가 없었고, 이런 방식이였을 거라고 추측하는 듯.)

4. 컨트랙 자체가 뚫린게 아니고 결국 key 자체가 노출이 되어서 피해자들의 지갑으로 정상서명되면서 자금이 추출됨.

따라서 privy 쪽 문제는 아닌 것 같고 predictfun 쪽에서 만들어낸 사고로 보이네요.
근데 보안점검은 다다익선이고 아직 사고 루트가 확정난게 아니라서 일단 인용글에 나온대로 싹다 해두시는걸 추천.

저도 프레딕펀 사고 관련해서는 서드파티가 호스팅하는 api docs 페이지가 탈취당했다라고 알고 있었는데, 팀에서 정확한 정황을 아직 공개를 안해서 키가 탈취되었는지 여부까지는 알려지지 않은 상황입니다.

팀에서 말한대로라면, 말그대로 드레이너 달린 피싱사이트에 접근한거나 다름없게 만들 수 있으니 다양한 공격이 가능합니다. 뭐 이미 로그인되어있는 privy 계정에서 키 추출해서 빼갈수도 있고 다른 유형의 공격도 가능하고.. 뭐가 되었건 이런 유형의 공격이라면 privy 내에서 발생한 취약점은 아니긴 합니다.

차라리 이거로 끝이면 다행이라고 생각.

ZK 2026

https://www.succinct.xyz/2026-zk-industry-report

이번 로빈후드 어닝콜 보고나서 든 로빈후드 생태계에 대한 개인적인 생각을 정리해보았습니다.

https://x.com/c4lvin/status/2115623760577622168?a=90SU3tp_0WVFuqomNz4&s=20

스탠리 드러켄밀러가 투자한 Trade [XYZ]에 대해서 리서치를 한 회사는 전 세계에 아마 저희 아니면 블록웍스가 전부일 겁니다.

https://research.4pillars.io/ko/research/tradexyz-q1-2026-report

https://research.4pillars.io/ko/research/tradexyz-2026-q2-report

제프가 불러온 강제 업토버.. 감사합니다